Χάρτης κινδύνου θερμότητας

1) Σκοπός και αξία

Ο χάρτης επικινδυνότητας είναι ένα οπτικό εργαλείο για την κατάταξη και την κοινοποίηση του κινδύνου σε όλο τον πίνακα Πιθανότητας × Επιπτώσεων, που συνδέεται με τους ελέγχους, τις μετρήσεις και τα σχέδια δράσης.

• μια ενιαία γλώσσα προτεραιότητας (επιχειρήσεις, επιχειρήσεις, νομικές ενότητες)·
• διαφανείς αποφάσεις CAPA/επενδύσεων·
• παρακολούθηση της προόδου (πριν/μετά τα μέτρα), έτοιμος για λογιστικό έλεγχο.

2) Ταξινόμηση και περιοχή κάλυψης

• Ρυθμιστικές/άδειες, προστασία της ιδιωτικής ζωής/δεδομένα, ασφάλεια πληροφοριών/τεχνικές διαδικασίες, πληρωμές/AML/KYC, λειτουργίες/διαθεσιμότητα, μάρκετινγκ/υπεύθυνη διαφήμιση, προμηθευτές/VRM.

• Δικαιοδοσίες/αγορές, επιχειρηματικοί τομείς/προϊόντα, υπηρεσίες/πλατφόρμες, κρίσιμοι πάροχοι.

3) Κλίμακες πιθανοτήτων και κρούσης

3. 1 Πιθανότητα (παράδειγμα κλίμακας 5 επιπέδων)

1. Σπάνιες (μία φορά κάθε> 3 χρόνια/p <5%)

2. Χαμηλή (μία φορά κάθε 1-3 έτη)

3. Μέσος όρος (ετησίως)

4. Υψηλή (τριμηνιαία)

5. Πολύ υψηλό (μηνιαίο/συχνότερο)

3. 2 Αντίκτυπος (πολυμεταβλητικός)

• Χρηματοδότηση: άμεσες ζημίες/κυρώσεις/χρέωση.
• Άδειες/Νομικές επιπτώσεις: αναστολές, απαγορεύσεις, έρευνες.
• Προστασία της ιδιωτικής ζωής/δεδομένα: πεδίο εφαρμογής των PII, κοινοποιήσεις, εποπτικές ενέργειες.
• Λειτουργίες/Uptime: MTTR, SLO, διαταραγμένες εκλύσεις, RTO/RPO.
• Φήμη: μέσα ενημέρωσης, κοινωνικά δίκτυα, κυρώσεις εταίρων.
• Κλίμακα 1-5 με σαφή κατώτατα όρια (π.χ. 1: <€10k, 5:> €1m).

4) Βαθμολογία και επίπεδα κινδύνου

Ατομικός κίνδυνος: 'Score = Πιθανότητα × Αντίκτυπος' (1-25).

• 20-25 - Κρίσιμη (κόκκινη)
• 12-19 - Υψηλή (πορτοκαλί)
• 6-11 - Μέσο (κίτρινο)
• 1-5 - Χαμηλή (πράσινη)
• Υπολειπόμενος κίνδυνος: αφού ληφθούν υπόψη οι τρέχοντες έλεγχοι (η αποτελεσματικότητα επιβεβαιώθηκε από το ToD/ToE/CCM).
• Κίνδυνος-στόχος: μετά τα σχεδιαζόμενα μέτρα· η ημερομηνία επίτευξης καθορίζεται.

5) Πηγές δεδομένων και σύνδεση με τους ελέγχους

Μητρώο GRC: περιγραφές κινδύνου, ιδιοκτήτες, τρέχουσες/στοχευόμενες αξιολογήσεις.
JMA/μετρήσεις: ρυθμός επιτυχίας των κανόνων ελέγχου, συμβάντα, KRI.
Προμηθευτές/VRM: πιστοποιητικά, SLA, περιστατικά, αλλαγές στις τοποθεσίες των δεδομένων.
Χρηματοδότηση/Πληρωμές: πρόστιμα, αναλογία χρέωσης, απώλεια απάτης%.
Όλες οι τιμές που επηρεάζουν τις κλίμακες πρέπει να έχουν αποδεικτικά στοιχεία (κούτσουρα/εκθέσεις) και χρονοσφραγίδες.

6) Ομαδοποίηση και ενοποίηση

Από τη βάση προς την κορυφή: από τις υπηρεσίες/δικαιοδοσίες σε τομείς και εταιρείες.
Κανόνες συγκέντρωσης: Μέγιστος αντίκτυπος, εκατοστημόριο πιθανότητας ή σταθμισμένη διάμεση τιμή (ανά όγκο επιχειρήσεων).
Χωριστά στρώματα: εγγενές (χωρίς χειριστήρια), υπολειμματικό (με μάρτυρες), Target (μετά το CAPA).
Χωριστοί σχετικοί κίνδυνοι (π.χ. κοινή τρωτότητα υποδομής) και ανεξάρτητοι.

7) Οπτικοποίηση

Έγχρωμη μήτρα 5 × 5. σημεία διαδραστικού κινδύνου με αναδυόμενες κάρτες (περιγραφή, ιδιοκτήτης, χειριστήρια, CAPA).
Διακόπτες στρώματος: εγγενείς/υπολειμματικές/στοχευόμενες.
Φίλτρα: δικαιοδοσία, προϊόν, τομέας, πάροχος, περίοδος.
Τάσεις «πριν/μετά» μέτρα και «μετατόπιση» (μετατόπιση) σε 30-90 ημέρες.

8) Ρόλοι και ΠΓΣ

9) KRI και κατώτατα όρια κλιμάκωσης

• Προστασία της ιδιωτικής ζωής: dsar_response_p95, διαγραφή TTL, καταγγελίες/διαμεσολαβητής.
• Ασφάλεια: p95 τρωτά σημεία TTR, μερίδιο των κρίσιμων κανόνων CCM, παραβιάσεις SoD.
• Πληρωμές: αναλογία χρέωσης, απώλεια απάτης%, εφέσεις με ποσοστό κέρδους.
• Πτητικές λειτουργίες: ρυθμός παραβίασης SLO, συμβάντα p1/p2, δοκιμές RTO/RPO.
• Κλιμάκωση: Κίτρινο κατά την υπέρβαση των ορίων προειδοποίησης, κόκκινο - υποχρεωτικό CAPA και «stop-the-line» για κρίσιμες περιοχές.

10) Λήψη αποφάσεων και επικοινωνία με την CAPA

Για κάθε «κόκκινο» σημείο, απαιτείται σχέδιο δράσης: διορθωτικό/προληπτικό, ιδιοκτήτη, όρος, προϋπολογισμός, KPI επιτυχίας.

• Κρίσιμη: CAPA ≤ 30 ημέρες, επανέλεγχος σε 60-90 ημέρες· επιτροπή - εβδομαδιαία.
• Η ασφάλεια και η αποτελεσματικότητα του ViraferonPeg σε παιδιά και εφήβους ηλικίας κάτω των 18 ετών δεν έχουν ακόμα τεκμηριωθεί.
• Μεσαία/Χαμηλή: Στο σχέδιο του τριμήνου/εξαμήνου.
• Εάν η μείωση είναι αδύνατη - παραίτηση με ημερομηνία λήξης και αντισταθμιστικοί έλεγχοι.

11) Ταμπλό (ελάχιστο)

Προβολή χάρτη θερμότητας: τρέχων πίνακας + Υπολειμματικά/στρώματα στόχου.
Τάσεις κινδύνου: πριν/μετά το CAPA.
Έλεγχος Σύνδεση: ποσοστό διέλευσης CCM ανά κίνδυνο, κόκκινες πύλες.
Άρθρο 429 παράγραφος 1 στοιχείο β) του ΚΚΑ.
Κίνδυνος πωλητή: χάρτης θερμότητας των παρόχων κρίσιμης σημασίας (πιστοποιητικά, SLA, περιστατικά).
Έλεγχος-ετοιμότητα: αποδεικτικά στοιχεία πληρότητας/επισφαλή αποδεικτικά στοιχεία για κινδύνους.

12) Μετρήσεις επιδόσεων

Δείκτης μείωσης κινδύνου: ∆ του σταθμισμένου μέσου επιτοκίου κινδύνου ανά τρίμηνο.
Έγκαιρη CAPA:% των μέτρων εγκαίρως (λόγω σοβαρότητας).
Επαναλαμβανόμενα ευρήματα (12 μήνες): μερίδιο επαναλήψεων για σχετικούς κινδύνους.
Αποδεικτικά στοιχεία Πληρότητα:% κίνδυνοι με πλήρη τεκμηρίωση.
Drift After Fix: περιπτώσεις επιστροφής στην «κόκκινη» ζώνη μετά από 30-90 ημέρες.
Κάλυψη: Αναλογία επιχειρηματικών περιουσιακών στοιχείων/δικαιοδοσιών που αποτυπώνονται στο χάρτη.

13) SOP (τυποποιημένες διαδικασίες)

: Κίνηση της διαδικασίας

Να καθοριστούν οι κλίμακες και τα κατώτατα όρια → να συμφωνηθεί στην επιτροπή → τον καθορισμό στο αποθετήριο (έκδοση).

: Τριμηνιαίος κύκλος

Συλλογή δεδομένων εισόδου/KRI → επανυπολογισμός των αξιολογήσεων → επανεξέταση από τους ιδιοκτήτες → αποφάσεων επιτροπής → δημοσίευση πινάκων εξαγωγής → «πακέτο ελέγχου».

: Περιστατικό Trigger

Σε κρίσιμο/υψηλό περιστατικό, μη προγραμματισμένη επικαιροποίηση χάρτη, δεσμευτικό και σχέδιο επανεξέτασης του CAPA.

: Βρόχος προμηθευτή

VRM Survey/Certificates → Vendor Risk Update → Vendor Mirror Επιβεβαίωση

: Αρχείο και αποδεικτικά στοιχεία

Snapshots heatmap (PDF/PNG/CSV) + hash αποδείξεις → WORM αρχείο → συνδέσμους σε GRC.

14) Μοτίβα τεχνουργημάτων

14. 1 Κάρτα κινδύνου (θραύσμα)

Αναγνωριστικός κωδικός/όνομα, ιδιοκτήτης, τομέας/δικαιοδοσίες

Πιθανότητα/επίπτωση/εγγενής/υπολειμματικός/στόχος

Έλεγχοι (ταυτότητα, μετρήσεις, κανόνες CCM)

KRI και πραγματικές τιμές

CAPA/απαλλαγές, ημερομηνίες, προϋπολογισμός, ΒΔΕ

Σύνδεσμοι αποδεικτικών στοιχείων και επισφαλείς αποδείξεις

14. 2 Κλίμακες πολιτικής (ταχύτητα κλείστρου)

Likelihood:
1: p<5% / >3y
3: annual
5: monthly+
Impact (finance):
1: <€10k
3: €100k–€300k
5: >€1m
Escalation:
Critical: CAPA≤30d; Committee weekly
High: CAPA≤60d; Committee bi-weekly

14. 3 Πριν/Μετά την έκθεση

Στιγμιότυπα οθόνης χάρτη θερμότητας (Residual vs Target)

Πίνακας ∆ - Μεταβολές κατά κίνδυνο

Ολοκληρωμένες CAPA, μετρήσεις ανθεκτικότητας

15) Αντιπατερίδια

«Όμορφη εικόνα» χωρίς αναφορά σε χειριστήρια/KRI και CAPA.
Ασαφείς κλίμακες → χειραγώγηση των εκτιμήσεων.
Καμία έκδοση/απόδειξη αλλαγής βαθμολογίας.
Συνοψίζοντας τους ανόμοιους κινδύνους χωρίς κανόνες συνάθροισης.
Σπάνιες επικαιροποιήσεις → χάρτη δεν αντικατοπτρίζουν την πραγματικότητα.
Εξαιρέσεις χωρίς προθεσμίες και αντισταθμιστικά μέτρα.

16) Υπόδειγμα ληκτότητας (M0-M4)

M0 ad-hoc: εφάπαξ εικόνα, χωρίς μεθόδους/μετρήσεις.
M1 Προγραμματισμός: συμφωνημένες κλίμακες, τριμηνιαίες επικαιροποιήσεις.
M2 Διαχείριση: σύνδεση με χειριστήρια/KRI, CAPA, ταμπλό, αρχείο WORM.
M3 Ολοκληρωμένο: αυτόματος επανυπολογισμός (CCM), κωδικός πολιτικής/διασφάλισης, φέτες ανά δικαιοδοσία/πωλητή.
M4 Συνεχής διασφάλιση: προγνωστικές KRI, μοντελοποίηση σεναρίων, τι-αν, συστάσεις προτεραιότητας.

17) Συναφή άρθρα wiki

Έλεγχος βάσει κινδύνων (RBA)

KPI και μετρήσεις συμμόρφωσης

Συνεχής παρακολούθηση της συμμόρφωσης (CCM)

Σχέδια αποκατάστασης (CAPA)

Επανεξέταση και παρακολούθηση

Αποθετήριο πολιτικής και συμμόρφωσης

Χάρτης πορείας για τη συμμόρφωση

Οδηγός συμμόρφωσης εταίρων/VRM

Σύνολο

Ο χάρτης θερμότητας κινδύνου δεν είναι μια έκθεση, αλλά ένας μηχανισμός διαχείρισης: ομοιόμορφες κλίμακες, επικοινωνία με τους ελέγχους και τις KRI, τακτικές επικαιροποιήσεις, αποδεδειγμένες αποφάσεις και έλεγχοι βιωσιμότητας μετά τη μέτρηση. Η προσέγγιση αυτή θέτει ως στόχο την ιεράρχηση των προτεραιοτήτων, επιταχύνει τις αποφάσεις των επιτροπών και διατηρεί σε εξέλιξη την ετοιμότητα ελέγχου.